Ứng dụng công việc yêu cầu VPN? Hãy kiểm tra ba lớp này trước

Thông báo nói ứng dụng cần VPN, nhưng thường thì ứng dụng đang báo một triệu chứng chứ không nêu tên thứ đã chặn nó. Ba chủ thể khác nhau có thể tạo ra câu đó: dịch vụ riêng mà ứng dụng nói chuyện cùng, mã chính sách của chính ứng dụng và lớp quản lý thiết bị kiểm soát hồ sơ công việc. Việc ai đang hỏi sẽ thay đổi điều bạn nên làm, và chỉ một trong ba được sửa bằng cách kết nối một đường hầm. Tìm ra chủ thể trước sẽ giúp bạn khỏi cài lại một ứng dụng khách vốn chưa bao giờ là vấn đề.

Bản thân ứng dụng có thể kiểm tra gì

Trước khi giả định có một quy tắc nền tảng ẩn, hãy nhớ rằng một ứng dụng thông thường có thể thấy liệu truyền tải VPN có đang hoạt động không. ConnectivityManager báo cáo các mạng mang TRANSPORT_VPN, và việc không có NET_CAPABILITY_NOT_VPN cho mọi bên gọi biết đường đi hiện tại đang qua đường hầm. Một nhà phát triển muốn từ chối chạy ngoài đường hầm có thể làm điều đó bằng API công khai và hoàn toàn không cần công cụ doanh nghiệp.

Điều ứng dụng không thể thấy theo cách đó là VPN của ai. Một cờ truyền tải nói rằng có một đường hầm, không nói rằng nó kết thúc ở nơi tổ chức của bạn mong đợi.

Đường đi của dịch vụ: tên và địa chỉ riêng

Phiên bản trung thực phổ biến nhất của thông báo hoàn toàn không phải là kiểm tra chính sách. Ứng dụng phân giải một tên máy chủ nội bộ như wiki hoặc điểm cuối API chỉ tồn tại bên trong chế độ xem DNS của doanh nghiệp, và việc tra cứu thất bại trước khi bất kỳ mã chính sách nào chạy. Đường hầm có thể đang mở và cho lưu lượng internet chung đi qua trong khi DNS chia tách gửi tên đó đến một trình phân giải chưa từng nghe nói về nó.

Các triệu chứng ở đây hẹp. Một máy chủ thất bại, các lệnh gọi mạng còn lại của ứng dụng vẫn hoạt động, và lỗi xuất hiện trong lúc tra cứu tên chứ không phải khi khởi chạy. Chứng chỉ nội bộ thêm một chế độ lỗi thứ hai, vì một ứng dụng được ghim vào CA của tổ chức sẽ từ chối chứng chỉ công khai ngay cả khi các gói vẫn chảy.

Kết nối một VPN thương mại ngẫu nhiên không sửa được gì trong số đó. Nó thay đổi địa chỉ ra của bạn và để tên nội bộ vẫn không thể phân giải.

Lớp chính sách của ứng dụng

Một ứng dụng cũng có thể mang cổng riêng của nó. Cấu hình được quản lý cho phép tổ chức đẩy các cặp khóa và giá trị mà ứng dụng khai báo, và ứng dụng đọc chúng qua RestrictionManager. Một khóa như tên hồ sơ bắt buộc hoặc danh sách mạng được phép hoàn toàn là thiết kế của nhà phát triển, được thực thi trong mã ứng dụng với bất kỳ văn bản lỗi nào mà mã đó chọn.

Đây là lớp mà cách diễn đạt thường tự tố cáo. Nếu thông báo xuất hiện ngay khi khởi chạy, trước bất kỳ lệnh gọi mạng nào, và nhắc đến một chính sách, một hồ sơ hoặc một quản trị viên, thì có lẽ bạn đang xem logic của ứng dụng chứ không phải một gói bị rơi.

Đọc cùng một hạn chế trên thiết bị cá nhân là ngõ cụt. Thiết bị không được quản lý không có hạn chế nào để đọc, nên ứng dụng quay về giá trị mặc định mà nó được xây dựng cùng.

Lớp nền tảng: luôn bật và khóa

Quản lý thiết bị thêm một sự áp đặt mà ứng dụng không thể ghi đè. Một bộ điều khiển chính sách thiết bị có thể gọi setAlwaysOnVpnPackage cho hồ sơ công việc, tùy chọn với khóa được bật, và khi khóa đã bật, nền tảng từ chối lưu lượng không đi qua gói đó. Việc chặn hiện ra như một điều kiện hệ thống chứ không phải lỗi ứng dụng: các ứng dụng khác trong hồ sơ cũng ngừng đến được mạng.

Phạm vi quan trọng. VPN luôn bật được cấu hình theo từng người dùng, nên một gói hồ sơ công việc không bao phủ hồ sơ cá nhân của bạn, và một VPN cá nhân không đáp ứng gói hồ sơ công việc. Hai hồ sơ, hai chính sách mạng độc lập, một thiết bị.

Đây cũng là lớp duy nhất mà một VPN không liên quan không thể giúp, vì chính sách nêu tên một gói cụ thể.

Phân biệt ba loại

Lần lượt xem các dấu hiệu và dừng ở dấu hiệu đầu tiên khớp. Một tên máy chủ thất bại trong khi mọi thứ khác phân giải được chỉ vào đường đi của dịch vụ. Việc từ chối ngay khi khởi chạy với cách diễn đạt chính sách chỉ vào logic của ứng dụng. Toàn bộ hồ sơ mất kết nối mỗi khi ứng dụng khách được phê duyệt ngắt kết nối chỉ vào khóa. Và một ứng dụng chấp nhận bất kỳ đường hầm nào đang kiểm tra cờ truyền tải, không phải danh tính tổ chức của bạn.

Bằng chứng hữu ích: văn bản chính xác và thời điểm của nó, liệu các ứng dụng khác trong cùng hồ sơ còn kết nối không, tên riêng có phân giải được bên trong đường hầm được phê duyệt không, và thiết bị có hiển thị huy hiệu công việc cho ứng dụng bạn đã mở không.

Nên đưa gì vào yêu cầu hỗ trợ

Một yêu cầu nêu tên lớp sẽ được định tuyến đúng ngay lần đầu. Đại loại như: ứng dụng hồ sơ công việc mở ra, danh sách tài nguyên thất bại sau khi VPN được phê duyệt kết nối, phân giải tên riêng thất bại trong chẩn đoán được phép, và các ứng dụng khác trong hồ sơ vẫn hoạt động. Điều đó được đọc như một vấn đề tuyến đường hoặc trình phân giải và bỏ qua vòng lặp đặt lại tài khoản.

Nếu VPN được phê duyệt hoàn toàn không có, con đường được hỗ trợ là đăng ký hoặc cấp lại qua quản trị viên của bạn. Xóa hồ sơ quản lý, cài một ứng dụng khách không liên quan hoặc làm giả trạng thái mạng là thay đổi cách sắp xếp bảo mật thay vì khôi phục nó.

Hãy bắt đầu từ lớp, không phải từ ứng dụng khách. Ba dấu hiệu ở trên thường giải quyết việc này trong một phiên.